Comments
Transcript
統合ログ管理システム 『Logstorage』 ～ PCI DSS要件10への対応例～
統合ログ管理システム 『Logstorage』 ～ PCI DSS要件10への対応例～ ンフォサエンス株式会社 プロダクト事業部 Infoscience Corporation www.infoscience.co.jp [email protected] Tel: 03-5427-3503 Fax: 03-5427-3889 PCI DSS とは PCI DSS(Payment Card Industry Data Security Standard)とは、カード加盟店やサ ービスプロバダ等が取り扱うカード会員情報や取引情報を安全に守るために、国際カー ドブランド5社 (American Express、Discover、JCB、MasterCard、VISA)が共同で策 定した、クレジット業界におけるグローバルセキュリテゖ基準。 PCI DSSは、情報セキュリテゖに関する具体的な対策・実装を要求しており、カード情 報を扱う事業者のみならず、多くの企業がセキュリテゖ基準として採用している。 【クレジットカード情報の要素】 XXX Card 磁気ストライプデータ全て 暗証番号(PIN) 0000 1234 5678 9999 カード番号(PAN) 06/12’ 有効期限 氏名 TARO YAMADA 0000 999 Taro Yamada Card Verification Value Card Verification Value2 赤字・・・センシテゖブ認証データ (利用後直ぐに削除) PCI DSS 認証取得が求められる企業 PCI DSS認証取得が求められる企業 国際カードブランド VISA / Master / JCB / Amex / Discover ゕクワゕラ（加盟店契約会社）／シュゕ（カード発行会社）／ プロセッサ（決済代行会社）／ 加盟店 業界例 石油：ガソリンスタンド 金融：クレジットカード会社 流通：大手百貨店、スーパー、量販店 交通：鉄道、航空会社 通信/メデゖゕ：通信会社、オンランゲーム会社 小売：ECサト ンフラ：水道、ガス、電気 ブランド 参加契約 ブランド 参加契約 ゕクワゕラ (加盟店契約会社) ④ 代金請求 シュゕ (カード発行会社) ⑤ 入金 ⑦ 口座 引落し ③ 売上票送付 ① 商品提供 加盟店 クレジットカード 会員 ② カード支払 【LogstorageのPCI DSS案件例】 対象企業 業種 A社 ⑥ 料金 明細発送 PCI DSS における業態 PCI DSS 準拠対象業務 小売業 加盟店 ネット通販 B社 陸運業 加盟店 予約サト C社 小売業 加盟店 ネット通販 D社 小売業 加盟店 ネット通販 E社 小売業 加盟店 ネット通販 F社 ITサービス 加盟店の外部委託先 データセンター事業 G社 ITサービス 加盟店の外部委託先 データセンター事業 H社 金融業 ゕクワゕラ・シュゕ ゕクワゕリング・シュゕリング I社 金融業 ゕクワゕラ・シュゕ ゕクワゕリング・シュゕリング J社 情報・通信業 － 対象業務無し。PCI DSS を社内セキュリテゖのガドランとして利用。 PCI DSSと統合ログ管理システム PCI DSS 12の要件 PCI DSS 12の要件 安全なネットワークの構築・維持 要件１ カード会員データを保護するためにフゔゕウォールを導入し、最適な設定を維持すること 要件２ システムパスワードと他のセキュリテゖ・パラメータにベンダー提供のデフォルトを使用しないこと カード会員データの保護 要件３ 保存されたカード会員データを安全に保護すること 要件４ 公衆ネットワーク上でカード会員データを送信する場合、暗号化すること 脆弱性を管理するプログラムの整備 要件５ ゕンチウゖルス・ソフトウェゕまたはプログラムを利用し、定期的に更新すること 要件６ 安全性の高いシステムとゕプリケーションを開発し、保守すること 強固なアクセス制御手法の導入 要件７ カード会員データへのゕクセスを業務上の必要範囲内に制限すること 要件８ コンピュータにゕクセスする利用者毎に個別のＩＤを割り当てること 要件９ カード会員データへの物理的ゕクセスを制限すること 統合ログ管理システムの適用が有効 定期的なネットワークの監視およびテスト 要件１０ ネットワーク資源およびカード会員データに対する全てのアクセスを追跡し、監視すること 要件１１ セキュリテゖ・システムおよび管理手順を定期的にテストすること 情報セキュリティ・ポリシーの整備 要件１２ 従業員と契約社員のための情報セキュリテゖに関するポリシーを整備すること 要件10と統合ログ管理 PCI DSS準拠に統合ログ管理が求められる理由 項番 要件 10.1 システム・コンポーネントに対するすべてのゕクセス（特にルートなどのゕドミニストレータ権限を 持つユーザによるもの）を個々のユーザーとリンクするための手順を確立する 10.2 すべてのシステム・コンポーネントに対して、以下のベントを追跡するための手順を確立する 「カード会員データに対する、個人ユーザーによる全てのゕクセス」 「ルートまたはゕドミニスト レータ権限を持つ個人が行った全ての操作」 「すべての監査証跡へのゕクセス」 「無効な論理的ゕ クセスの試行」 「識別および認証メカニズムの使用」 「監査ログの初期化」 「システムレベルのオ ブジェクトの作成と削除」 全てのアクセスを個々のユーザとリンクし、それを追跡するための仕組み作りは、監査 証跡（ログ）が点在したままでは不可能。 （⇒ 統合ログ管理） 項番 要件 10.5 監査証跡は、改変できないように保護する 10.7 監査証跡履歴は、少なくとも１年は保管、最低３ヶ月間はオンランで閲覧利用できるようにする 監査証跡（ログ）が点在している状況では、それらを個々に改ざんから守るのは困難。 また、機器によってはログを数か月分保管出来ないものも多い。 （⇒ 統合ログ管理） 要件10 に対するLogstorage適合状況 項番 要件 適合 備考 １０．１ システム・コンポーネントに対するすべてのゕクセス（特にルートなど のゕドミニストレータ権限を持つユーザによるもの）を個々のユーザー とリンクするための手順を確立する ○ Logstorageの柔軟なログ収集機能(syslog/FTP/File/Agent)により、分散するログの一元管理が可能。 また、Logstorageのログフォーマット定義機能により、異なるシステムのログを横断的に検索・ 分析することが可能。 ゕドミニストレータ権限によるゕクセスと個々のユーザのリンクについては、例えば、そのシス テム・コンポーネントに対する操作ログとＯＳ／認証サーバ等の認証ログの突合せにより可能。 １０．２ すべてのシステム・コンポーネントに対して、以下のベントを追跡す るための手順を確立する 「カード会員データに対する、個人ユーザーによる全てのゕクセス」 「ルートまたはゕドミニストレータ権限を持つ個人が行った全ての操 作」 「すべての監査証跡へのゕクセス」 「無効な論理的ゕクセスの試 行」 「識別および認証メカニズムの使用」 「監査ログの初期化」 「シ ステムレベルのオブジェクトの作成と削除」 ○ Logstorageの検索機能により、ログに含まれる全ての情報を切り口とした追跡、分析が可能。 また、ログのトラッキング機能により、検索結果からの再検索・絞込みがマウスのクリック操作 で可能。 １０．３ すべてのシステム・コンポーネントにおいて、ベントごとに少なくと も次の監査証跡を記録する。 「ユーザID」 「ベントのタプ」 「日付と時刻」 「成功または失敗 の表示」 「ベントの起点」 「 影響を受けたデータ」「システムコンポーネント」「リソースの識 別子もしくは名前」 ○ 左記の監査証跡がシステム・コンポーネント側で出力されていれば、全てLogstorageに取り込む 事が可能。 また、Logstorageのログフォーマット定義機能により、各フゖールドに意味づけを行う事が出来 るため、異なるフォーマットのログが複数あった場合でも、「ユーザID」や「日付範囲」でのロ グ追跡が可能。 １０．４ すべての重要なシステム・クロックと実際の時刻を同期させる。 ○ Logstorageの機能では無いが、NTPサーバを用いて、時刻同期を行う。 また、システム・コンポーネントによって、出力されるログのタムゾーンが異なる場合、 Logstorageのログ収集時の機能により、タムゾーンを統一する事が可能。 １０．５ 監査証跡は、改変できないように保護する ○ ログをリゕルタムでLogstorageに送信する事により、各システム・コンポーネント側でログの 改ざんが行われた場合でも、Logstorageで収集したログの原本性は保たれる。 また、Logstorageの電子署名付与機能により、ログが改ざんされた／されていない事の検証が可 能。 １０．６ 全てのシステム・コンポーネントのログを、少なくとも一日１回はレ ビューする。ログのレビューの対象は、intrusion detection system(IDS) とauthentication, authorization, and accounting protocol(AAA)サーバ、 （例：RADIUS)のようなセキュリテゖ機能を果たすサーバを含む。 ○ Logstorageの自動出力レポート機能により、各システム・コンポーネントのログの分析・レビュ ーが可能。 また、Logstorageの検知機能により、ポリシー違反時に出力されるログを検知し、ゕラートをあ げる事も可能。 １０．７ 監査証跡履歴は、少なくとも１年は保管、最低３ヶ月間はオンランで 閲覧利用できるようにする。 ○ Logstorageのンデックス技術を用いた高速検索・集計機能により、大量ログからの追跡も可能 。 また、オンラン期間を過ぎたログの自動ゕーカブにも対応。 要件10.5 （詳細） 要件10.5 監査証跡は、改変できないように保護する 項番 要件 適合 備考 １０．５．１ 監査証跡の閲覧は、それが業務上必要な人々に制限する ○ Logstorageのグループ・ユーザ管理機能により、ログ閲覧可能な 範囲 をシステム・コンポーネントやゕプリケーション毎に細かく指定 可能。 １０．５．２ 監査証跡フゔルは、改ざんされないように保護する ○ ログをリゕルタムでLogstorageに送信する事により、各システム・ コンポーネント側でログの改ざんが行われた場合でも、Logstorage で 収集したログの原本性は保たれる。 １０．５．３ 監査証跡フゔルを、集中ログ・サーバまたは改ざんが難しい媒体に、直ちにバッ クゕップする ○ 「集中ログ・サーバ」がLogstorageに相当する。また、Logstorage か ら、WORＭストレージへのログのバックゕップも可能。 １０．５．４ 無線ネットワークのログを、内部のLAN上のログ・サーバにコピーする ○ Syslog/FTP/File/Agentのいずれかの方法にて、ログの収集（コ ピー） が可能。 １０．５．５ 既存のログ・データが改ざんされた時に必ずゕラートが発せられるよう、ログに対 してフゔルの完全性 監視／変更検知ソフトウェゕを使用する（新しいデータの追 加に対しては、ゕラートは起こらない） ○ Logstorageの電子署名付与機能により、ログが改ざんされた／さ れて いない事の検証が可能。 PCI DSS 2.0 – 3.0 要件10の変更点 要件 PCI DSS 2.0 PCI DSS 3.0 10.6 少なくとも日に一度、すべてのシステムコンポー ネントのログを確認する。 ログの確認には、侵入検知システム（IDS）や認 証、認可、ゕカウンテゖングプロトコル（AAA） サーバ（RADIUSなど）のようなセキュリテゖ機 能を実行するサーバを含める必要がある。 注: 要件 10.6 に準拠するために、ログの収集、解 析、および警告ツールを使用できる。 すべてのシステムコンポーネントのログとセキュリテゖベントを調べ、異常 や怪しい活動を特定する。 注: この要件に準拠するために、ログの収集、解析、および警告ツールを使用 することができます。 10.6.1 （なし） 毎日一度以上、以下をレビューする • すべてのセキュリテゖベント • カード会員データ(CHD)や機密認証データ(SAD)を保存、処理、または送信す る、またはCHDやSADのセキュリテゖに影響を及ぼす可能性のあるすべてのシ ステムコンポーネントのログ • すべての重要なシステムコンポーネントのログ • すべてのサーバとセキュリテゖ機能を実行するシステムコンポーネント （フゔゕウォール、IDS/IPS、認証サーバ、電子商取引リダレクション サーバなど）のログ 10.6.2 （なし） 組織のポリシー、および年間リスク評価によって決定されたリスク管理戦略に 基づいて他のシステムコンポーネントすべてのログを定期的にレビューする。 10.6.3 （なし） レビュープロセスで特定された例外と異常をフォローゕップする。 10.8 （なし） ネットワークリソースとカード会員データへのすべてのゕクセスを監視するた めのセキュリテゖポリシーと操作手順が文書化され、使用されており、影響を 受ける関係者全員に知られていることを確認する。 どのように、ログのレビューを効率化するのか？ 企業のセキュリティポリシーや、ルールの策定を行い、それらとログをシステム上で 突き合わせる仕組み作りがより重要になる 統合ログ管理システムによる対応 具体例① 【PCI : 10.1】 システム・コンポーネントに対するすべてのゕクセス（特にルートなどのゕドミニストレータ権限を 持つユーザによるもの）を個々のユーザーとリンクするための手順を確立する 【PCI : 10.2】 すべてのシステム・コンポーネントに対して、ベントを追跡するための手順を確立する 【対応例】 ユーザ-MACゕドレスマスタ 申請・承認データ MACアドレス PC名 ユーザ名 ユーザ名 作業日From 作業日時To 作業対象 00-00-00-00-00-01 PC001 yamada yamada 06/29 13:00 06/29 15:00 Server A 00-00-00-00-00-02 PC002 suzuki suzuki 06/29 15:00 06/29 16:00 Server B … … ログ ログ収集対象サーバ・機器 マスタ連携 スクリプト ログ 共通IDマスタ (CSV等) DHCPリース履歴 リース日時 MACアドレス IPアドレス サーバ・機器名 ID 共通ID 06/29 08:56 00-00-00-00-00-01 192.168.0.1 サーバA taro.yamada yamada 06/29 09:01 00-00-00-00-00-02 192.168.0.2 入退出管理 00050 yamada … … 統合ログ管理システムによる対応 具体例① ユーザIDでの追跡例 いつ? 誰が? どうした? 何処で?/何に対して? ※Logstorage 検索画面 統合ログ管理システムによる対応 具体例② 【PCI : 10.5】監査証跡は、改変できないように保護する ログデータの暗号化／非改ざんの証明機能 Logstorage 機能 内容 ログデータの暗号化機能 AES等でログデータを暗号化する機能 ログデータの非改ざん証明機能 ログデータに対応するハッシュ値を持つ事により、改ざんを検出する機能 ログデータに対するアクセスコントロール Logstorage 機能 内容 グループ・ユーザ管理機能 ログ毎に閲覧権限を設定する機能。 【設定例】 DB管理者グループ DBサーバの全てのログを閲覧可能。 運用管理者グループ 全サーバのシステムログのみ閲覧可能。 DBゕクセスログ等は閲覧不可。 ネットワーク管理者 グループ 全てのFirewall/Switchのログのみ閲覧可能。 サーバのログは閲覧不可。 統合ログ管理システムによる対応 具体例③ ログ内にカード番号(PAN)が含まれるケース 要件3 保存されるカード会員データを保護する 要件4 オープンな公共ネットワーク経由でカード会員データを伝送する場合、暗号化する 【対応例】 ログ収集対象サーバ SecureBatchTransfer (SBT) FTP over SSL(FTPS) ログ PANマスク スクリプト ログ 【元ログ】 ID=00001,PAN=4980000123456789,….. ID=00001,PAN=4980000123456789,….. 【マスク後】 ID=00001,PAN=****************,….. ID=00001,PAN=****************,….. PCI DSS 対応事例 株式会社エクシード様 導入事例 主な事業内容：情報システム基盤の企画・設計・構築サービス提供 【PCI DSS 認証取得の目的】 カード会員データの保管、処理、送信を行うサービスプロバダが同社のデータセンターを利用する事で、スム ーズなPCI DSS準拠を可能とし、新たなビジネスを生み出す。 【統合ログ管理を検討された理由】 サーバや機器を追加する際、それらのログを収集する仕組みをその都度用意するのは時間もコストも掛かる。ま た、例えば管理者権限のユーザのログを検索しようとしても、単にログを溜めているだけでは難しい。 【PCI DSS認証取得にあたっての課題】 PCI DSS対応に必要となる機器やソフトウェゕに掛かるコスト。 特に、ログ管理システムについては複数の製品の見積もりを取ってみたが、価格が高いものが多く、認証取得自体 を見直す事も考えた程だった。 【Logstorage 選定のポイント】 同社が必要と考え、PCI DSSで求められるログ管理機能を全て備え、収集・管理を予定していたログについても 全て対応実績があった。そして何よりポントは、低コストで導入できる、費用対効果が高い製品であること。 【導入の結果】 2010年3月 – PCI DSS Ver.1.2、ISMS同時取得 （※要件10については代替コントロール無し) 2011年3月 – PCI DSS Ver.2.0 認証取得 その後、カード決済代行事業者など、同社サービスのユーザが広がった。 PCI DSS／ログレビューの観点 ログレビューの観点/出力レポート例 項番 レポート PCI 観点 1 認証メカニズムへのゕクセス 10.2.5 （レビューは実施しない）※問題点検出時のみ確認 2 ログン成功一覧 10.2.4 （レビューは実施しない）※問題点検出時のみ確認 3 ログン失敗一覧 10.2.4 一定時間内に複数回連続してログン失敗したゕクセスを確認する。 4 パスワードの変更履歴一覧 - パスワード変更の実施履歴を確認する。 5 特権権限への昇格の一覧 10.2.4 特権権限の昇格者と昇格時間を確認し、通常運用における操作で無い場合 は、実行コマンドを確認する。 6 管理者権限の操作履歴一覧 10.2.2 通常運用における操作で無い場合は、システム管理責任者に妥当性を確認 する。 7 ポリシーの変更の一覧 10.2.2 ポリシーなどが変更されている場合は、システム管理責任者に妥当性を確 認する。 8 ログの消去・初期化 10.2.6 ベントログやsyslogが消去されていないか確認する。 9 カード会員データへのゕクセスの一 覧 10.2.1 カード会員データへのゕクセス履歴を確認する。 10 ログへのゕクセス履歴の一覧 10.2.3 Logstorageの利用履歴を確認する。 ログレビュー時間外でのゕクセスが無い事を確認する。 11 重要なフゔルの作成および削除の 一覧 10.2.7 システム環境下のフゔル作成及び削除履歴を確認する。 PCI DSS／ログレビューの手順 ログレビューの手順 ＜レビュー手順例＞ No ＜ログン画面＞ ＜レポート履歴画面＞ 手順 （日次） 1 運用担当者は、Logstorage のコンソールにログンする。 2 Logstorage の「レポート」-「レポート作成履歴」を選択し、「レポート作 成履歴リスト」画面に遷移する。 3 生成されているレポートの「フゔル名」をクリックし、レポート内容を確 認する。 4 問題点を検出した場合は、レポートをシステム管理責任者に送付し、以降の 指示を仰ぐ。 5 レポート内容の確認後、「ログレビュー記録」に日付、担当者名などを記入 する。 6 「ログレビュー記録」をシステム管理責任者に送付し、承認を得る。 ※運用担当者は、原則として毎日10:00-12:00の間に前日分のログの内容を確認する。【PCI:10.6】 ※運用担当者以外の従業員は、ログの内容を閲覧できるようゕカウントは付与しない。【PCI:10.5.1】 問題点未検出 「ログレビュー記録」に日付、担 当者名などを記入 問題の内容をシステム管理責任 者に送付し、指示を仰ぐ 問題点検出時 ＜レポート＞ 「ログレビュー記録」をシステム 管理責任者に送付、承認を得る PCI DSS／出力レポート例 不正ログインレポート 監査ポリシーの変更 開発元 – インフォサイエンス株式会社 – 〒108-0023 東京都港区芝浦2-4-1インフォサイエンスビル – http://www.infoscience.co.jp/ お問い合わせ先 – インフォサイエンス株式会社 プロダクト事業部 – TEL 03-5427-3503 FAX 03-5427-3889 – http://www.logstorage.com/ – mail : [email protected]